Se você trabalha com redes ou está começando na área, provavelmente já ouviu falar em VLAN — e talvez ainda não tenha clareza sobre o que é, para que serve e quando vale a pena implementar. A dúvida é comum: afinal, o que é VLAN e por que esse conceito aparece tanto em provas de certificação e em ambientes corporativos? Entender isso muda a forma como você enxerga switches, segmentação de rede e segurança.

Este texto foi pensado para quem quer sair da definição decorada e compreender a VLAN na prática: como ela funciona em um switch real, quais são os tipos mais usados, as diferenças entre portas Access e Trunk, o papel do padrão 802.1Q e os cenários em que a segmentação lógica faz diferença. Também abordamos pontos que costumam ficar de fora das explicações básicas, como erros comuns de configuração, VLANs em redes domésticas e a relação entre VLAN, firewall e Wi-Fi corporativo.

Se o seu objetivo é se preparar para certificações como a Cisco CCNA ou atuar com infraestrutura de TI, esse conhecimento é obrigatório. E é exatamente esse tipo de conteúdo que você encontra na trilha de Redes da DEFTEC, com cursos que vão dos fundamentos até configurações avançadas.

O que é VLAN: definição e o problema que ela resolve

VLAN é a sigla para Virtual Local Area Network, ou rede local virtual. Trata-se de uma técnica que permite dividir um único switch físico — ou um conjunto de switches interconectados — em múltiplas redes lógicas independentes, como se cada uma tivesse seu próprio hardware dedicado. Dispositivos conectados a portas de VLANs diferentes não se enxergam diretamente na camada 2 do modelo OSI, mesmo estando plugados no mesmo equipamento.

O problema que a VLAN resolve nasce de uma limitação clássica das redes Ethernet: por padrão, todo switch opera como um único domínio de broadcast. Um frame enviado em broadcast por qualquer máquina é replicado para todas as portas do equipamento. Em redes com dezenas ou centenas de hosts, esse tráfego consome CPU dos dispositivos, gera ruído desnecessário e expõe setores inteiros a qualquer estação que capture pacotes. A VLAN quebra esse domínio único em ilhas menores, reduzindo ruído e criando fronteiras lógicas onde antes só havia uma topologia plana.

Vale destacar que a segmentação proporcionada pela VLAN é lógica, não física. Você não precisa comprar um switch para o financeiro e outro para o RH: um único switch de 48 portas pode abrigar os dois setores, cada um em sua VLAN, com políticas e regras distintas. Essa flexibilidade é o que torna o conceito central em qualquer infraestrutura corporativa moderna e em trilhas de certificação como a certificação Cisco CCNA, que dedica tópicos inteiros a VLANs, trunks e roteamento entre VLANs.

Como uma VLAN funciona na prática

Para entender o funcionamento, imagine um switch de 24 portas sem nenhuma configuração. Todas as portas pertencem à VLAN padrão — a VLAN 1 — e formam um único domínio de broadcast. Quando o administrador cria a VLAN 10 e atribui as portas 1 a 8 a ela, o switch passa a tratar essas oito portas como uma rede isolada das demais. Um broadcast gerado na porta 3 não alcança a porta 15, embora ambas estejam no mesmo equipamento físico.

Essa separação é mantida por uma tabela interna que associa cada porta a um identificador numérico de VLAN, chamado VLAN ID. O VLAN ID varia de 1 a 4094, sendo que os valores de 1002 a 1005 são reservados para compatibilidade com FDDI e Token Ring em equipamentos Cisco. Na prática, a maioria das implementações usa faixas como 10-99 para setores e 100-199 para serviços, mas a numeração é uma convenção administrativa, não uma exigência técnica.

Domínios de broadcast e isolamento lógico

Um domínio de broadcast é o conjunto de dispositivos que recebe um frame enviado ao endereço MAC de broadcast (FF:FF:FF:FF:FF:FF). Em uma rede plana com 200 máquinas, cada requisição ARP, cada anúncio de serviço e cada pacote de descoberta gerado por uma estação é processado por todas as outras 199. Em cenários com câmeras IP, impressoras e telefones VoIP, esse volume cresce rapidamente e degrada o desempenho de dispositivos com processadores modestos.

Ao criar VLANs, o administrador fraciona esse domínio em partes menores. Uma VLAN com 30 estações gera, na pior hipótese, broadcast apenas para 29 vizinhas. O isolamento lógico também impede que um host em uma VLAN capture tráfego unicast de outra VLAN usando ferramentas de sniffing em modo promíscuo, já que o switch não encaminha frames entre VLANs distintas sem um roteador ou switch de camada 3 no caminho.

O papel do protocolo 802.1Q e das tags

O padrão IEEE 802.1Q define como os switches marcam os frames Ethernet para identificar a qual VLAN eles pertencem. Quando um frame atravessa um enlace entre dois switches, o equipamento de origem insere um campo adicional de 4 bytes no cabeçalho Ethernet, contendo o VLAN ID de 12 bits. Esse processo é chamado de tagging, e o enlace que transporta frames taggeados é conhecido como trunk.

A tag 802.1Q permite que um único cabo físico transporte tráfego de dezenas de VLANs simultaneamente. Sem esse mecanismo, cada VLAN exigiria um cabo dedicado entre os switches — um desperdício de portas e de cabeamento que inviabilizaria redes com muitas segmentações. O campo de 12 bits explica o limite de 4094 VLANs utilizáveis: 2 elevado a 12 resulta em 4096 combinações, das quais o 0 e o 4095 são reservados pelo padrão.

Portas Access e Trunk

Switches gerenciáveis classificam suas portas em dois modos principais quando o assunto é VLAN. Uma porta em modo Access pertence a uma única VLAN e entrega frames sem tag ao dispositivo final conectado — computadores, impressoras e câmeras não precisam entender 802.1Q. O switch remove a tag antes de enviar o frame ao host e adiciona a tag da VLAN configurada quando recebe tráfego de volta.

Já uma porta em modo Trunk transporta frames de múltiplas VLANs, preservando as tags 802.1Q em todo o percurso entre switches, roteadores ou servidores de virtualização. O trunk também carrega a chamada VLAN nativa, que por padrão é a VLAN 1 e trafega sem tag. Configurar uma VLAN nativa dedicada e diferente de 1 é uma das primeiras medidas de hardening em qualquer switch exposto a múltiplos usuários.

Tipos de VLAN: estática, dinâmica, de voz, dados e gerenciamento

A classificação mais comum divide as VLANs pelo critério de atribuição de portas e pela finalidade. Entender esses tipos ajuda a planejar a numeração e a evitar sobreposições que geram retrabalho.

  • VLAN estática: porta associada manualmente a um VLAN ID pelo administrador; é o padrão na maioria das redes corporativas.
  • VLAN dinâmica: atribuição automática com base no endereço MAC do dispositivo, usando protocolos como VMPS em equipamentos Cisco legados.
  • VLAN de voz: dedicada a telefones IP; o switch entrega o tráfego de voz com prioridade QoS e o separa dos dados do computador conectado ao telefone.
  • VLAN de dados: transporta o tráfego comum de estações de trabalho, servidores e impressoras de um setor ou função.
  • VLAN de gerenciamento: isola o acesso administrativo a switches, roteadores e access points, normalmente com IP próprio e ACL restritiva.
  • VLAN nativa: VLAN sem tag em um trunk 802.1Q; deve ser alterada da VLAN 1 e não utilizada para tráfego de usuários.

A VLAN de voz merece atenção especial em implantações de telefonia IP. Muitos telefones possuem duas portas Ethernet: uma conectada ao switch e outra ao computador do usuário. Com a VLAN de voz configurada, o switch entrega o tráfego do telefone em uma VLAN e o do computador em outra, permitindo aplicar filas de prioridade diferentes a cada fluxo — essencial para evitar que um download pesado cause cortes ou latência em chamadas.

Em ambientes com virtualização de servidores, a VLAN de dados frequentemente se estende até os hypervisores. O host de virtualização recebe um trunk do switch físico e distribui as VLANs entre as máquinas virtuais por meio de switches virtuais internos, mantendo a mesma segmentação lógica da rede física dentro do servidor.

LAN, VLAN e WLAN: qual é a diferença

Uma LAN (Local Area Network) é a rede física local em sua acepção tradicional: um conjunto de dispositivos interconectados por switches e cabos em um espaço geograficamente limitado, como um escritório, um andar ou um prédio. A segmentação de uma LAN acontece, em geral, pela topologia física — switches diferentes, salas diferentes, cabeamento separado.

A VLAN opera uma camada acima dessa lógica física. Ela usa a mesma infraestrutura de cabos e switches para criar redes independentes do ponto de vista lógico. Dois computadores lado a lado, plugados no mesmo switch, podem estar em VLANs diferentes e se comportar como se estivessem em prédios distintos — sem comunicação direta na camada 2.

A WLAN (Wireless Local Area Network) é a rede local sem fio, baseada no padrão IEEE 802.11. O ponto de convergência entre os três conceitos aparece quando um access point corporativo transmite múltiplos SSIDs: cada SSID pode ser mapeado para uma VLAN diferente. Um AP único, portanto, entrega uma WLAN que internamente replica a segmentação de VLANs — por exemplo, um SSID "corporativo" na VLAN 20 e um SSID "visitantes" na VLAN 30.

Essa distinção é cobrada com frequência em provas de certificação e em entrevistas para vagas de infraestrutura. O candidato precisa demonstrar que entende a LAN como camada física, a VLAN como segmentação lógica sobre essa camada e a WLAN como extensão sem fio que pode, ela própria, ser segmentada por VLANs.

Para que serve uma VLAN: casos de uso reais

As aplicações de VLAN vão muito além do exemplo didático de separar setores em um escritório. A técnica sustenta arquiteturas de rede em empresas, residências, provedores e data centers, cada contexto com requisitos próprios de isolamento, desempenho e segurança.

Segmentação de setores em empresas

O caso de uso mais tradicional é a separação de departamentos em VLANs distintas: financeiro na VLAN 10, recursos humanos na 20, engenharia na 30, diretoria na 40. Cada setor recebe sua própria faixa de endereçamento IP e políticas de acesso específicas, sem que um analista do financeiro consiga, por exemplo, descobrir servidores internos do RH via broadcast.

Essa segmentação também simplifica a aplicação de listas de controle de acesso (ACLs) no roteador ou firewall que interliga as VLANs. Em vez de criar regras por endereço IP individual, o administrador define políticas por sub-rede inteira: "a VLAN 10 não acessa a VLAN 40", "a VLAN 20 só responde a consultas na porta 443". A granularidade resultante é muito mais administrável em escala.

Isolamento de convidados e IoT em redes domésticas

Embora o termo VLAN soe corporativo, roteadores e switches de consumo vêm incorporando suporte básico ao recurso. Roteadores com firmware alternativo como OpenWrt, ou equipamentos de marcas voltadas a prosumidores, permitem criar uma VLAN para a rede principal e outra para dispositivos de Internet das Coisas — lâmpadas inteligentes, câmeras Wi-Fi, tomadas conectadas e assistentes virtuais.

A motivação é concreta: dispositivos IoT costumam ter firmware com atualizações irregulares e superfícies de ataque amplas. Um invasor que comprometa uma câmera conectada à VLAN de IoT não alcança, na camada 2, os notebooks e o NAS da VLAN principal. O isolamento vale também para redes de convidados: o visitante recebe acesso à internet, mas não enxerga impressoras, storages ou qualquer outro equipamento da residência.

VLANs em provedores de internet e data centers

Provedores de acesso usam VLANs para entregar serviços distintos sobre a mesma infraestrutura de fibra ou rádio. Um cliente residencial pode receber internet na VLAN 100, telefonia VoIP na VLAN 200 e IPTV na VLAN 300, tudo pelo mesmo enlace físico. A separação garante que o tráfego de vídeo, sensível a atraso, não dispute fila com downloads e que cada serviço tenha sua própria política de banda e QoS.

Em data centers e ambientes de cloud, a VLAN é a unidade básica de isolamento entre tenants e entre funções internas — banco de dados, aplicação, backup, monitoramento. Ferramentas de infraestrutura como código (IaC) automatizam a criação dessas VLANs em conjunto com máquinas virtuais e regras de firewall, permitindo que um ambiente inteiro seja provisionado de forma reproduzível. A integração entre VLAN e práticas como GitOps leva essa automação para o versionamento de configurações de rede.

Como configurar uma VLAN: exemplo prático em switch gerenciável

O exemplo abaixo usa a sintaxe de switches Cisco Catalyst, a mais cobrada em provas como CCNA e a mais encontrada em laboratórios de estudo. Os comandos equivalentes em equipamentos de outras marcas seguem a mesma lógica, com variações de sintaxe.

Criação da VLAN e atribuição de portas

O primeiro passo é criar a VLAN no banco de dados do switch e dar um nome descritivo. Em seguida, as portas que atenderão estações de trabalho são colocadas em modo access e associadas à VLAN criada.

  1. Acesse o modo de configuração global com configure terminal.
  2. Crie a VLAN com vlan 10 e nomeie com name FINANCEIRO.
  3. Entre na interface desejada com interface gigabitethernet 0/1.
  4. Defina o modo com switchport mode access.
  5. Associe à VLAN com switchport access vlan 10.
  6. Repita para as demais portas do setor e salve com copy running-config startup-config.

Para verificar a configuração, o comando show vlan brief exibe a tabela de VLANs e as portas associadas a cada uma. É a primeira checagem após qualquer alteração, pois erros de associação de porta são a causa mais comum de "máquina sem rede" logo após uma mudança de VLAN.

Inter-VLAN routing: como VLANs diferentes se comunicam

Por definição, VLANs diferentes não se comunicam diretamente na camada 2. Para que um host da VLAN 10 alcance um servidor na VLAN 20, é necessário um dispositivo de camada 3 — um roteador ou um switch com suporte a roteamento. Esse processo é chamado de inter-VLAN routing.

Na abordagem tradicional, chamada router-on-a-stick, uma única interface física do roteador é dividida em subinterfaces lógicas, uma para cada VLAN. Cada subinterface recebe um IP que será o gateway da respectiva VLAN, e o enlace entre roteador e switch é configurado como trunk 802.1Q. Em switches de camada 3, o mesmo resultado é obtido com SVIs (Switch Virtual Interfaces): interfaces virtuais com IP configurado por VLAN, roteando internamente sem passar por um equipamento externo.

O roteamento entre VLANs é o ponto onde políticas de segurança começam a valer de fato. Sem ACLs ou firewall no caminho, duas VLANs com gateway no mesmo roteador conversam livremente na camada 3 — o que anula parte do isolamento conquistado na camada 2. A segmentação, sozinha, não é sinônimo de controle de acesso.

Vantagens, limitações e erros comuns de implementação

As vantagens de usar VLANs são bem documentadas: redução de broadcast, isolamento entre setores, flexibilidade para mover usuários sem trocar cabeamento, priorização de tráfego por tipo de serviço e simplificação de políticas de segurança por sub-rede. Uma equipe que realoca um funcionário de andar, por exemplo, só precisa reatribuir a porta do novo switch à VLAN correta — sem tocar em cabos nem reendereçar a estação.

As limitações, porém, costumam aparecer quando a implementação cresce sem planejamento. Switches de entrada sem suporte a gerenciamento não fazem VLAN; equipamentos de marcas diferentes podem ter incompatibilidades pontuais em recursos proprietários de trunk; e a multiplicação excessiva de VLANs gera complexidade administrativa que supera o benefício. Além disso, VLAN não criptografa tráfego — um atacante com acesso físico a um trunk pode capturar frames de todas as VLANs que passam por ele.

VLAN hopping e por que evitar a VLAN 1

VLAN hopping é uma técnica de ataque que explora configurações inadequadas de trunk e da VLAN nativa para enviar tráfego de uma VLAN para outra sem passar pelo roteador. O ataque de double tagging, por exemplo, insere duas tags 802.1Q em um frame: a primeira, da VLAN nativa, é removida pelo switch de acesso; a segunda, da VLAN alvo, é então interpretada pelo switch de destino, que encaminha o frame para uma VLAN à qual o atacante não deveria ter acesso.

A mitigação passa por três medidas básicas: alterar a VLAN nativa para um ID dedicado e sem uso, desativar negociação automática de trunk em portas de acesso (comandos switchport mode access e switchport nonegotiate) e evitar a VLAN 1 para qualquer tráfego de produção. A VLAN 1 é o padrão de fábrica em praticamente todos os switches, o que a torna previsível e alvo preferencial de exploração.

Segmentar não é proteger: o papel do firewall

Um erro recorrente entre iniciantes é tratar a criação de VLANs como medida de segurança completa. A segmentação reduz a superfície de ataque na camada 2 e limita a propagação de broadcasts, mas não inspeciona o conteúdo do tráfego que efetivamente cruza entre VLANs. Um malware que infecte uma estação da VLAN 10 e descubra o gateway da VLAN 20 pode se mover lateralmente se nenhuma regra bloquear essa comunicação.

O controle de acesso entre VLANs pertence ao firewall ou a ACLs bem desenhadas no roteador de camada 3. A regra de ouro é o princípio do menor privilégio: cada VLAN só acessa exatamente os destinos e portas necessários à sua função. Em redes com convidados, o firewall pode redirecionar a VLAN de visitantes para um portal cativo antes de liberar a internet, combinando segmentação com autenticação.

Boas práticas para planejar e manter VLANs

Um plano de VLANs bem estruturado evita retrabalho e facilita o troubleshooting. Antes de criar a primeira VLAN, vale definir um esquema de numeração, documentar a função de cada ID e padronizar nomes descritivos. A documentação deve registrar também quais portas de quais switches pertencem a cada VLAN e quais são os gateways correspondentes.

  • Nunca use a VLAN 1 para tráfego de usuários; reserve-a apenas como padrão de fábrica e altere a VLAN nativa dos trunks.
  • Atribua faixas numéricas por função: 10-19 setores administrativos, 20-29 voz, 30-39 convidados, 40-49 IoT, 50-59 gerenciamento.
  • Desative portas não utilizadas e coloque-as em uma VLAN "quarentena" sem gateway.
  • Configure trunks apenas onde houver necessidade real; em portas de acesso, force o modo access e desative DTP.
  • Documente o mapeamento VLAN-sub-rede-gateway em uma fonte única, versionada e acessível à equipe.
  • Revise periodicamente a tabela show vlan brief e remova VLANs órfãs que não possuem mais hosts ativos.

A manutenção contínua é tão importante quanto o desenho inicial. Switches acumulam configurações legadas quando funcionários saem, setores mudam de sala e projetos são descontinuados. Uma revisão trimestral da tabela de VLANs, cruzada com a documentação de rede, identifica portas esquecidas em VLANs erradas e previne incidentes de acesso indevido.

Para quem está iniciando na área, dominar VLANs é pré-requisito para avançar em trilhas de redes e infraestrutura. O conceito aparece em laboratórios de certificação, em entrevistas técnicas e em praticamente toda arquitetura corporativa real. Profissionais que entendem a fundo 802.1Q, trunks e inter-VLAN routing se diferenciam rapidamente no mercado de trabalho de TI, onde a demanda por especialistas em redes segue aquecida.

Perguntas frequentes sobre VLAN

Qual a diferença entre VLAN e sub-rede? VLAN opera na camada 2 do modelo OSI e segmenta domínios de broadcast; sub-rede opera na camada 3 e segmenta endereçamento IP. Na prática, cada VLAN costuma corresponder a uma sub-rede, mas são conceitos independentes: é possível ter duas sub-redes na mesma VLAN, embora isso seja incomum e desaconselhado.

Preciso de um switch gerenciável para usar VLAN? Sim. Switches não gerenciáveis, comuns em residências e pequenos escritórios, não possuem interface de configuração e tratam todas as portas como uma única rede. O suporte a VLAN exige switch gerenciável ou, em menor grau, roteadores domésticos com firmware avançado que emulam a segmentação por portas.

Quantas VLANs posso criar em um switch? O padrão 802.1Q permite até 4094 VLANs utilizáveis (IDs de 1 a 4094). Equipamentos de entrada, porém, podem limitar esse número na prática por restrições de hardware ou licenciamento. Consulte a documentação do fabricante antes de planejar uma numeração extensa.

VLAN substitui firewall? Não. VLAN segmenta e isola na camada 2, mas não inspeciona nem filtra tráfego entre segmentos. O controle de acesso entre VLANs exige firewall, ACLs ou políticas de segurança no roteador de camada 3 que interliga os segmentos.

É possível usar VLAN em Wi-Fi? Sim. Access points corporativos mapeiam cada SSID para uma VLAN específica, permitindo que uma única infraestrutura sem fio atenda funcionários, convidados e dispositivos IoT em segmentos isolados. Em roteadores domésticos, a rede de convidados frequentemente implementa uma segmentação semelhante de forma transparente ao usuário.